:数据类型如字符.数字、日期等特征;数据范國;数据长度等
防范SQL注入 不可信数据进入后端数据库操作前,建议使用正角的参数化查询来处理,避免出现SQL注入
文件校验 不可信数据为解压缩的文件时,如果文件位于服务目录外或文件大小超过限制...)的措施,超过1次验证失败自动启用图灵测试,超过多次验证失败自动启用账户锁定机制限制其访问
二次验证 在执行关键操作(如账户密码修改、资料更新、交易支付等)时,先启动图灵测试,再对用户身份进行二次验证...验证码限制 前后端设置用户获取频率为60秒一次,建议每个用户每天获取的短信最多10条
安全提示 增加安全提示:至少含本次操作的功能、验证码发送编号、是否是个人自己操作的风险等信息。...禁止在HTTP和HTTPS之间来回转换,这可能会导致会话被劫持
会话标识符安全 设置会话 Cookie时,正确设置" Httponly'属性(禁止程序加5脚本等读取 Cookie信息)" Secure...,配置应用服务器使其以自定义的方式处理无法处理的应用程序错误,返回自定义错误信息
隐藏用户信息 禁止在系统异常时泄露用户的隐私信息,典型的有:身份信息、个人住址、电话号码、银行账号、通讯记录、定位信息等